医疗行业安全交流

南通医疗行业安全交流刘迪\绿盟科技liudi司概况绿盟科技是中国最早从事网络安全业务的企业之一，成立于2000年4月，2014年1月上市总部位于北京，在国内设立7个分公司，共30多个分支，在硅谷、东京设有分支机构成立安全研究院：威胁研究部、安全研究部、战略发展部四大研发中心：北京、武汉、成都、西安公司发展近五年营业收入

年均复合增长率为31%近五年净利润

年均复合增长率为46%截止到目前绿盟科技拥有员工近

1800人公司服务资质（应有尽有）国家安全服务资质（二级）（最高）计算机信息系统集成资质（二级）ISO9001质量管理体系国际国内双认证一级应急处理服务资质（最高级）一级风险评估资质（最高级）ISO27001安全认证（国内安全公司唯一）微软MAPP合作伙伴（中国第一家）北京市高新技术企业国家网络与信息安全信息通报技术支持单位国家级应急服务支撑单位公司产品资质（一应俱全）中国国家信息安全测评中心认证中国国家公安部认证中国人民解放军安全产品测评中心认证国家保密局认证资质情况公司资质公司荣誉ISO27001认证ISO9001认证国家二级安全服务资质国家级应急服务支撑单位国家级863火炬计划国庆60周年网络与信息安全保障先进单位第29界奥运会技术保障单位NO.1NO.1NO.1核心竞争力：安全技术能力安全研究能力依靠自身安全漏洞研究能力，独立发现包括Microsoft、HP、CISCO、SUN、Juniper等多家厂商的40多个严重安全漏洞十年来一直维护全球最大、最权威的安全漏洞库NSBL，数目超过23900多条自主研发的入侵检测规则库从2002年起出口美国市场产品研发能力自主研发ESD（IDS\IPS\安全审计系统等）、RCM（远程安全评估\基线配置核查\Web漏洞扫描等）、IIS（WAF\抗DDOS\异常流量检测系统等）、BSG(下一代防火墙等)、PA（网站安全监测服务、PAMADS等）五大系列，18余款安全产品达到了国内、国际先进水平2008年，绿盟远程安全评估系统一举获得英国西海岸实验室（WestCoastLabs）的权威认证，成为全“球六强、亚太唯一”2010年，绿盟入侵防护系统通过了NSSLabs测试，获得NSSApproved认证，成为“全球四强，亚太唯一”专业的安全服务能力安全服务能力完善的服务方法论：经过10年专业安全服务的执着实践，形成了国内最完善的专业安全服务体系NSPS和完善的专业安全服务方法论。连续多年获得最值得信赖的安全服务品牌专业的服务团队：拥有诸多PMP、CISA、BS7799LA、ISO27001LA、CISSP、CISP、CCIE、CIW、COBIT、ITIL等国际/国内认证专家；国内顶尖安全研究小组做后台支撑严谨的项目组织：DIEM工程实施模型；丰富的项目经验、行业背景与实践经验。绿盟科技应急响应小组(NSFIRST)多次为用户解决不同层次的安全问题绿盟科技安全研究绿盟科技研究院拥有一流的研发实力漏洞分析和挖掘威胁感知安全智能云及虚拟化安全合规性绿盟科技研究院工业控制系统安全新威胁-新防护架构云安全虚拟化-SDN和SDS安全攻防研究漏洞-威胁-态势-智能-APT绿盟科技研究院有威胁响应中心、安全研究部和战略研究部三个部门，共有三十多位专职安全研究员。研究院是中关村科技园区博士后工作站分站，与清华大学联合培养，目前有两位博士后在站研究。绿盟科技安全研究漏洞分析和挖掘是绿盟科技研究团队的核心能力漏洞分析和挖掘威胁感知安全智能云及虚拟化安全合规性绿盟科技研究院关注软件生命周期，包括系统级、应用级、业务级多家厂商的40余个严重安全漏洞，是微软MAPP计划成员自动化工具，SQL注入和XSS攻击检测利用工具；FuzzTesting等多种逆向分析工具分析挖掘Analysis方法Method人People工具Tool绿盟科技安全研究维护着国内最大的中文漏洞库漏洞分析和挖掘威胁感知安全智能云及虚拟化安全合规性绿盟科技研究院公司成立13年来，协助Microsoft、Sun、Cisco等业界主流设备提供商解决了大量系统安全漏洞问题；维护着国内领先的商业漏洞库，漏洞数量达到25209条（截止到2013年11月）；累计发布安全漏洞研究报告51个（截止到2013年11月）；累计发布安全紧急通告117个（截止到2013年11月）；绿盟科技技产品线线3大产品领域域：安全评估估类检测防御御类安全监管管类NO.1NO.1NO.1NO.1NO.1绿盟科技技服务体体系安全技术术服务向客户提提供贯穿穿信息系系统完整整生命周周期的安安全技术术服务。。在信息息系统需需求分析析和设计计阶段，，通过安安全技术术体系规规划、安安全架构构设计等等服务，，协助客客户从根根本上提提高信息息系统安安全性。。在开发发和实施施阶段，，通过安安全编码码培训、、源代码码安全审审计、安安全性测测试等服服务，协协助客户户在系统统上线投投产前弥弥补安全全缺陷。。在系统统运行维维护阶段段，通过过渗透测测试、脆脆弱性扫扫描分析析、安全全配置核核查、审审计日志志分析、、安全事事件应急急处理、、驻场值值守安全全保障等等服务，，协助客客户优化化资源配配置，更更加专注注于自身身业务运运营和发发展。安全咨询询服务安全培训训服务三大服务务体系安全技术术规划系统安全全架构设设计源代码安安全性审审计软件安全全测试安全运维维技术评估估应急响应应渗透测试试绿盟科技技服务体体系安全技术术服务安全咨询询服务依据国际际/国内标准准和行业业监管规规范，协协助行业业客户立立足于现现状，面面向信息息安全风风险，采采取适当当的管理理过程和和控制措措施，建建立和维维护全面面、有效效、合规规的信息息安全管管理体系系，保障障客户业业务运营营和战略略达成。。绿盟科科技的资资深行业业咨询顾顾问向客客户提供供信息系系统安全全风险评评估、信信息安全全保障体体系设计计规划、、信息安安全管理理体系建建设、重重要信息息系统安安全等级级保护合合规设计计与建设设、信息息科技风风险管理理体系建建设等专专业咨询询服务。。安全培训训服务三大服务务体系信息安全保障体系设计规划咨询行业合规性咨询信息安全风险评估信息安全管理体系建设&认证咨询信息系统等级保护咨询绿盟科技技服务体体系安全技术术服务安全咨询询服务安全培训训服务从最佳安安全实践践出发，，针对不不同行业业不同岗岗位客户户所需要要掌握的的安全知知识和专专业技能能来设计计培训课课程，包包含安全全意识、、安全技技术专项项、安全全管理、、特定行行业热点点、安全全认证等等多种类类型，力力求贴合合信息安安全技术术的最新新发展趋趋势，满满足客户户不断涌涌现的知知识和技技能提升升需求。。三大服服务体体系初级安全意识专业技术最佳实践管理体系安全认证中级高级运营商行业金融行业政府行业参与国国标的的编写写《等级保护》《信息安全风险评估指南框架》《信息安全风险管理指南框架》《网上证券交易系统安全保障要求》《证券期货业安全保障体系》《网络安全事件处理服务规范》《党政机关计算机配置使用指南》2009年绿盟科技发起成立国际云安全联盟CSA（CloudSecurityAlliance）中国区分会，是CSA在亚太地区的第一个企业成员。2010年绿盟科技与国际网络安全权威组织StopBadware达成战略合作，绿盟科技成为中国唯一一家与StopBadware形成合作的安全厂商。2008年绿盟科技成为微软主动防御计划MicrosoftActiveProtectionsProgram(MAPP)在中国的第一个合作伙伴。国际同行互互动福兮，祸所伏伏…医疗信息化化的成就与与风险高速发展的的医院信息息化自助挂号终终端诊断决策支支持电子病历系系统医护工作站站医学影像系系统信息化带来来的收获医院信息化化的重要意义义就医流程优优化工作效率优优化运营成本降降低诊断决策科科学化自助挂号、、远程预约约病历无纸化化磁卡、条形形码技术无线、移动动终端应用用检验自动化化划价、摆药药自动化办公无纸化化医学影像无无胶片化电子病历的信息息共享诊疗数据仓仓库技术各类数据挖掘掘然而…水能载舟亦亦能覆舟！！医疗信息安安全事件频频出病患信息肆肆意兜售HIS系统宕机导导致门诊被被挤爆医药统方事事件屡见不不鲜威胁生命的的“一击““到了应该重重视的时候候吾日，三省吾吾身….业务分析，，威胁分析析医院业务系系统病历信息信息量大，，潜在价值值极高！用药信息医药代表趋趋之若鹜研究成果信信息创新乃竞争争之本财务、医保保相关信息息个人利益直直接相关医疗检验信信息涉及隐私完整性要求求高！…医院业务系系统特点一一：敏感信信息多各分系统、子子系统之间，，千丝万缕的的联系容易产产生“信息烟囱””事件难以定位位医院业务系统统特点二：复复杂基于Web2.0的社区协作医医疗功能架构构医院业务系统统特点三：协协同与共享医院安全关注注点数据安全关键数据私密密性：电子病历数据据用药数据财务数据医保相关数据检验数据系统安全业务系统可用用性：门诊系统PACSLISRIS疫情上报系统统医院系统安全全如何解决安全需要循序序渐进内外兼治，技技管双修…论医疗信息安安全等级保护护的建设技术防护安全管理卫生部公文2011年11月，卫生部下下发了“关于于印发《卫生行业信息息安全等级保保护工作的指指导意见》的通知”（卫卫办发〔2011〕〕85号）），，是是卫卫生生行行业业开开展展等等级级保保护护工工作作的的指指导导性性文文件件。。工作目标工作原则工作机制工作任务工作要求目标标与与原原则则工作目标依据国家信息安全等级保护制度，遵循相关标准规范，在卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，明确信息安全保障重点，落实信息安全责任，建立信息安全等级保护工作长效机制，切实提高卫生行业信息安全防护能力、隐患发现能力、应急处置能力，为卫生行业信息化健康发展提供可靠保障，全面维护公共利益、社会秩序和国家安全。工作原则遵循标准，重点保护行业指导，属地管理同步建设，动态完善工作作机机制制卫生部信息化工作领导小组信息安全技术专家委员会信息系统等级保护工作联络员省级卫生行政部门信息化工作领导小组省级信息安全技术专家委员会信息系统等级保护工作联络员地市级卫生行政部门信息化工作领导小组（一一））定定级级备备案案定级级（（原原则则上上不不低低于于第第三三级级的的卫卫生生重重要要信信息息系系统统））卫生生统统计计网网络络直直报报系系统统、、传传染染性性疾疾病病报报告告系系统统、、卫卫生生监监督督信信息息报报告告系系统统、、突突发发公公共共卫卫生生事事件件应应急急指指挥挥信信息息系系统统等等跨跨省省全全国国联联网网运运行行系系统统；；国家家、、省省、、地地市市三三级级卫卫生生信信息息平平台台，，新新农农合合、、卫卫生生监监督督、、妇妇幼幼保保健健等等国国家家级级数数据据中中心心；；三级级甲甲等等医医院院的的核核心心业业务务信信息息系系统统；卫生生部部网网站站系系统统；；其它它经经过过信信息息安安全全技技术术专专家家委委员员会会评评为为为为第第三三级级（（含含））以以上上系系统统工作任务务论证评审审拟定为第第三级（（含）以以上的卫卫生信息息系统，，应当经经信息安安全技术术专家委委员会论论证、评评审。备案第二级（（含）以以上信息息系统应应当报属属地公安安机关及及卫生行行政部门门备案；；跨省全国国联网运运行并由由卫生部部定级的的信息系系统，由由卫生部部报公安安部备案案；在各地运运行、应应用的分分支系统统，应当当报属地地公安机机关备案案。工作任务务（二）建建设与整整改差距分析析与安全全需求制定信息息系统安安全等级级保护建建设整改改方案第三级（（含）以以上卫生生信息系系统安全全建设整整改方案案应当经经信息安安全技术术专家委委员会论论证。形成信息息安全技技术防护护体系和和信息安安全管理理体系完善安安全保保护措措施建立安安全管管理制制度落实安安全管管理措措施工作任任务（三））等级级测评评第三级级（含含）以以上信信息系系统建建设整整改工工作完完成后后，选选择等等级测测评机机构进进行等等级测测评。。测评合合格后后，将将测评评报告告报属属地公公安机机关及及卫生生行政政部门门备案案。第三级级（含含）以以上信信息系系统应应当每每年进进行一一次测测评。。重要部部门的的第二二级信信息系系统，，可参参照上上述要要求进进行等等级测测评。。工作任任务（四））宣传传培训训各级卫卫生行行政部部门信信息化化工作作领导导小组组应当当开展展政策策和标标准规规范培培训；；卫生行行业各各单位位应当当开展展内部部信息息安全全培训训。（五））监督督检查查卫生部部信息息化工工作领领导小小组督导检查等保保工作落实情情况，督促开开展等保工作作。省级卫生行政政部门信息化化工作领导小小组督导检查等保保工作落实情情况，督促开开展等保工作作；向卫生部报送送等保工作相相关情况。工作任务等级测评的内内容－十个方面建设纲领——三级等保一：定级（首要环节）二：备案（核心）三：建设、整改（关键）四：等级测评评（方法）五：定期监督督检查（保障）等级保护-技术与管理物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构构安全管理制度度人员安全管理理系统建设管理理系统运维管理理系统定级备案等级保护差距分析安全规划与设计系统建设与运维等级保护解决决方案的三大大步骤基本要求实施指南测评准则第一步：等级级保护差距分分析差距分析的目目的现状梳理确定不符合安全项明确安全建设需求确定信息系统的基本安全要求根据系统所确定的安全等级从《基本要求》中选择相应等级的基本安全要求选择调整基本安全要求根据系统所面临的威胁特点调整安全要求，去掉不适用项明确系统特殊安全需求基本要求中某些方面的安全措施不能满足本单位信息系统的保护需求基本要求没有提供所需要的保护措施（例如无线接入和防护）根据各项安全要求进行逐项分析对比信息系统现状和安全要求之间的差距，确定不满足要求的安全项等级保护差距距分析安全管理分析制度组织人员建设运维安全技术分析物理网络主机应用数据差距分析要素素物理安全物理位置的选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电温湿度控制电力供应电磁防护网络安全结构安全访问控制安全审计边界完整性检查入侵防范恶意代码防范网络设备防护主机安全身份鉴别访问控制安全审计剩余信息保护入侵防范恶意代码防范资源控制应用安全身份鉴别访问控制安全审计剩余信息保护通信完整性通信保密性抗抵赖软件容错资源控制数据安全及备份恢复数据完整性数据保密性备份和恢复技术安安全要要求安全管理制度管理制度制定和发布评审和修订安全管理机构岗位设置人员配备授权和审批沟通和合作审核和检查人员安全管理人员录用人员离岗人员考核安全意识教育和培训外部人员访问管理系统建设管理系统定级安全方案设计产品采购和使用自行软件开发外包软件开发工程实施测试验收系统交付系统备案等级测评安全服务商选择系统运维管理环境管理资产管理介质管理设备管理监控管理和安全管理中心网络安全管理系统安全管理恶意代码防范管理密码管理变更管理备份与恢复管理安全事件处置应急预案管理管理安安全要要求安全要要求项项级差差安全要求类层面一级二级三级四级技术要求物理安全9193233网络安全9183332主机安全6193236应用安全7193136数据安全及备份恢复24811管理要求安全管理制度371114安全管理机构492020人员安全管理7111618系统建设管理20284548系统运维管理18416270合计/85175290318级差//9011528采用的的方式式顾问访谈管理访谈技术访谈实地查看查看配置、策略查看制度和记录文档手工测试漏洞扫描渗透测试第三级级基本本要求求—管理要要求—安全管管理制制度—管理制制度d)应形成成由安安全策策略、、管理理制度度、操操作规规程等等构成成的全全面的的信息息安全全管理理制度度体系系。差距分分析实实施：：访谈安安全全主管管查查看看安全管管理要要求落落地举举例安全策略管理制度操作规程总体方针政策文件安全策略操作手册第三级级基本本要求求—技术要要求—主机安安全—身份鉴鉴别f)应采用用两种种或两两种以以上组组合的的鉴别别技术术对管管理用用户进进行身身份鉴鉴别。。差距分分析实实施：：安全技技术要要求落落地举举例访谈系统管理员上机实地查看第二步步：安安全全规划划与设设计结合现状逐步实现统筹规划全盘考虑安全规规划安全设设计安全设计总体安全设计详细安全设计结构框架设计功能要求设计性能要求设计部署方案设计安全策略实现计划管理措施实现内容设计系统建设的安全实施方案详细安安全设设计第三步步：安安全全建设设与运运维配套的安全管理建设内容管理定制安全策略和配置策略定制信息安全产品选型及部署技术支持安全建建设系统自查应急响应安全巡检咨询培训可管理安全服务……安全运运维技术防防护部部分医院安安全技技术解解决方方案的的设计计有的放放矢：：通过过对业业务系系统范范围的的理解解，针针对实实际威威胁源源于威威胁途途径，，确定定安全全目标标。因地制制宜：：通过过对实实际网网络现现状和和威胁胁现状状的分分析，，确定定风险险节点点，参参照标标准进进行建建设医院院网网络络典典型型拓拓扑扑一、、外外网网区区域域安安全全建建设设外网网区区域域安安全全威威胁胁资产产：：出口口带带宽宽网站站邮件件信信息息会诊诊数数据据后台台数数据据库库…威胁胁：：可用用性性威威胁胁：：DDOS攻击击、、带带宽宽滥滥用用、、蠕虫虫完整整性性威威胁胁：：数数据据篡篡改改、、网网页页篡篡改改私密密性性威威胁胁：：后后台台数数据据库库被被““拖拖库库””、、领领导导邮邮件件信信息息泄泄露露…这些些问问题题是是如如何何产产生生的的？？网络(物理/链路/网络)操作系统(windows/unix)应用软件(Iis/apache/sqlserver)Web程序(第三方/自开发)脆弱性(漏洞)明文传输arp认证……威胁(攻击)缓冲区溢出密码猜测Sql注入攻击资产产对象象内因外因拒绝服务攻击(syn/ack/icmpfloodhttpgetflood……)TCP/IP协议的漏洞系统级别的漏洞Sniffer/arpspoof/……程序漏洞跨站脚本攻击目录遍历攻击密码窃取/突破授权/……信息探测文件操控安全架构不合理安全功能不足Tcp三次握手http无连接控制……弱口令缓冲区溢出未经验证的输入风险(损害)结果拒绝绝服服务务恶意意代代码码跨站脚本本非法入侵侵分项解决网络(物理/链路/网络)操作系统(windows/unix)应用软件(Iis/apache/sqlserver)Web程序(第三方/自开发)脆弱性(漏洞)明文传输arp认证……威胁(攻击)缓冲区溢出密码猜测Sql注入攻击资产对象内因外因拒绝服务攻击(syn/ack/icmpfloodhttpgetflood……)TCP/IP协议的漏洞系统级别的漏洞Sniffer/arpspoof/……程序漏洞跨站脚本攻击目录遍历攻击密码窃取/突破授权/……信息探测文件操控安全架构不合理安全功能不足Tcp三次握手http无连接控制……弱口令缓冲区溢出未经验证的输入DDOS防护入侵防护WEB应用防护护漏洞扫描描与管理理绿盟外网网安全解解决方案案WEB应用防护护：SQL注入、XSS等攻击防护，，保护网站不不被入侵网页篡改防护护爬虫、盗链防防护通用入侵防护护：漏洞虚拟补丁丁蠕虫防护黑客扫描、渗渗透防护DDOS防护：防护各类DDOS攻击，保护出出口可用性防护针对应用用系统的CC攻击，保护服服务器和应用用的可用性漏洞管理：系统漏洞扫描描，感知系统统脆弱性补丁修复，漏漏洞管理，保保障系统的基基线安全WEB漏洞扫描，感感知网站脆弱弱性，调整WAF进行漏洞屏蔽蔽二、内网区域域安全建设家属区门诊楼医技楼医保中心、卫生局住院部行政楼HISCISPACS网络管理OA病毒服务器SAN存储NID信息楼运维管理终端内网网络状况况重点保护对象象：电子病历数据据用药信息诊断决策信信息检验信息…外网具体的威胁胁核心信息资资产.外网区域黑客入侵攻攻击嗅探行为蠕虫、木马马.可能的黑客客跳板木马程序发发起的恶意意连接蠕虫网内爆爆发越权的数据据库操作非法外联事事件U盘导致的APT不安全终端.内网终端内部运维人人员的监守守自